jueves, 31 de marzo de 2022

ESPACIO DIGITAL DE SALUD, HISTORIA CLÍNICA COMPARTIDA Y PROTECCION DE DATOS - CNIL FRANCIA

 Por: Carlos A. FERREYROS SOTO

Doctor en Derecho
Universidad de Montpellier I Francia.

cferreyros@hotmail.com 

Resumen

La Comisión Nacional de Informática y Libertades de Francia publicó el 25 de febrero ultimo una nota sobre el expediente médico compartido (DMP) el mismo que ha sido integrado en el espacio de salud digital (ENS, también llamado "Mi espacio de salud") en enero de 2022. La CNIL recuerda el funcionamiento así como los derechos de las personas afectadas por estos dos dispositivos, particularmente la protección de los datos personales.

El texto original se encuentra en francés y ha sido traducido por el suscrito con la ayuda del traductor de Google. El enlace original obra en el siguiente enlace: https://www.cnil.fr/fr/lespace-numerique-de-sante-ens-et-le-dossier-medical-partage-dmp-questions-reponses

Si desea mayor información sobre el presente tema, así como sus referencias e implicancias para el Perú, consúltenos al correo electrónico:cferreyros@ferreyros-ferreyros.com del Estudio Jurídico Ferreyros-Ferreyros.com

 ______________________________________________________________

El espacio digital de salud (ENS) y la historia clínica compartida (DMP): preguntas y respuestas

25 febrero 2022

El expediente médico compartido (DMP) se integró en el espacio de salud digital (ENS, también llamado "Mi espacio de salud") en enero de 2022. La CNIL recuerda el funcionamiento así como los derechos de las personas afectadas por estos dos dispositivos.


¿Qué es el Espacio Digital de la Salud (ENS)?

El espacio digital de salud (ENS), también llamado "Mi espacio de salud" (MES), es un dispositivo que permite a los usuarios de administrar sus datos de salud y participar en la construcción de su ruta de atención.

Esta plataforma digital reunirá en un solo lugar:

·         una mensajería de salud segura;

·         la historia clínica compartida (DMP);

·         un diario de salud electrónica;

·  un catálogo (o tienda) de aplicaciones, que reúne un conjunto de servicios y herramientas digitales referenciadas propuestos por actores públicos o privados en el ámbito de la salud y el bienestar.

En la primera mitad de 2022, solo dos servicios estarán disponibles: la mensajería segura de salud y la DMP. Con el tiempo, cada menor o adulto inscrito en uno de los planes de seguro de salud dispondrá automáticamente de un espacio personal, salvo que se oponga.

La CNIL ha acompañado y acompañará al Ministerio y al CNAM, gestores conjuntos de esta plataforma, durante todas las etapas de su diseño, con el fin de garantizar el respeto de los derechos y las libertades de las personas. Ella ya ha emitido, de otro lado, varios dictámenes sobre los textos que enmarcan su funcionamiento y será llamado a monitorear su implementación.


¿Cómo activar tu espacio digital de salud?

Desde enero de 2022, el Seguro de Salud envía correos electrónicos o correos de información  que contienen un código de activación que debe permitir:

·         activar su espacio de salud;

·         oponerse a su creación.

A falta de respuesta dentro de las seis semanas siguientes a la recepción del correo electrónico/correo electrónico de información, se crea tu espacio digital de salud automáticamente, como lo prevé la ley.

No obstante, los usuarios pueden cambiar de opinión en cualquier momento y solicitar el cierre de su ENS.


¿Los menores tendrán una ENS?

El Seguro de Salud debe enviar una correo electrónico/correo electrónico de información al adulto al que el menor está vinculado para el Seguro de Salud, también llamado "apertura de derecho". El beneficiario debe poder comunicar una invitación al otro representante legal del menor (si lo hubiere) para permitirle de acceder y ejercer sus derechos.

Cada menor debe poder disponer de un espacio personal, accesible únicamente por su o sus representantes legales (no está previsto el acceso directo por los menores). No obstante, podrá solicitar que no se divulguen ciertas informaciones, en los casos previstos por la ley (en materia de salud reproductiva en particular, por ejemplo para el despistaje de ITS, la prescripción de anticonceptivos o para la realización de una interrupción de embarazo).

Al alcanzar la mayoría de edad, se deberá suspender el acceso de los representantes legales: sólo el titular de la ENS podrá entonces acceder a ella y gestionar sus datos de salud.

La CNIL alertó al ministerio y a la CNAM sobre el reconocimiento por el RGPD y la Ley de Protección de Datos de los derechos digitales de los menores. Estos textos prevén, en particular, la exigencia de información adaptada y una capacidad de consentir, bajo ciertas condiciones, al tratamiento de sus datos (solos mayores de 15 años, o con sus padres antes de esta edad). Varias iniciativas internacionales, europeas y nacionales están en marcha para reforzar la protección de los menores.

Para ir más lejos:

·         Fiche CNIL : « La protection des droits numériques des enfants : une priorité mondiale ! »

·         Résolution sur les droits numériques des enfants, adoptée le 21 octobre 2021 par la 43e Conférence de l’Assemblée mondiale pour la protection des données et de la vie privée

·         Site du Conseil de l’Europe, Droits des enfants et environnement numérique

·         Lignes directrices 5/2020 du CEPD sur le consentement au sens du RGPD

La CNIL también ha publicado 8 recomendaciones para reforzar los derechos de los menores.


Cómo oponerse a la creación de tu espacio de salud digital ?

Para ejercer su derecho de oposición, la persona deberá disponer de su código de activación (enviado por el Seguro de Salud) y de su tarjeta Vitale.

La oposición deberá poder formularse:

·         en línea utilizando el enlace provisto en el correo electrónico/carta de activación;

·         por teléfono contactando el soporte técnico de la CNAM;

·         directamente ante la caja a la cual se encuentra afiliado (por ejemplo, CPAM) por correo postal o correo electrónico a través de su cuenta de Ameli.

La persona debe recibir una notificación de objeción.


¿Para qué sirve la historia clínica compartida (DMP)?

La DMP permite a cada beneficiario de un seguro de salud de disponer de un expediente informatizado que consigne la información médica que le concierne.

Para cada acto o consulta, los profesionales de la salud están obligados a informar en el DMP los elementos diagnosticados y terapéuticos necesarios para la coordinación de los cuidados del paciente.

Esta herramienta tiene como objetivo favorecer la continuidad y la coordinación de los cuidados en la ciudad y en el hospital, permitiendo la conservación y el acceso a la información de salud por parte de los profesionales de la salud designados por el paciente y que participan en su atención.


¿Qué información contiene el DMP?

 El DMP incluye principalmente la siguiente información:

• los datos de identificación del titular del fichero;

• historial de tratamientos del seguro de salud en los últimos 24 meses (este dato será suministrado automáticamente por la CNAM);

• antecedentes médico (como patologías, alergias, etc.);

• los resultados de exámenes médicos (tales como informes, análisis biológicos, exámenes de imágenes médicas, etc.);

• los informes de hospitalización;

• las directivas anticipadas de fin de vida;

• los datos de contacto de los familiares a ser notificados en caso de emergencia, la persona de confianza, el médico tratante y los profesionales salud autorizados para acceder al expediente.


¿Cuál es el vínculo entre la DMP y la ENS?

Tal como se precisa en el Decreto, la DMP se abre e integra automáticamente al espacio digital de salud para todas las personas afiliadas a un régimen de seguro de salud a partir de finales de enero de 2022.

Toda persona que ya haya abierto un DMP antes de esta fecha verá su DMP integrado automáticamente en su espacio de salud digital.

Un período transitorio de un año permitirá a las personas que disponen ya de un DMP y deseen oponerse a la creación de su espacio de salud de conservar su DMP. Durante este período transitorio,  los datos ya almacenados, se conservarán y la CNAM alimentará el DMP con el historial de reembolsos. La persona podrá consultar su expediente en la versión web de la DMP.

Al final de este período transitorio, deberá realizarse una nueva campaña de información. La oposición renovada por parte del titular (o de su representante legal) a la apertura de su MES, deberá dar lugar a la clausura de la DMP. Los datos se conservarán durante 10 años desde la clausura, tiempo durante el cual las personas podrán ejercer sus derechos de acceso o de supresión.


¿Cómo accedo a mi DMP?

A partir de enero de 2022 está previsto que la DMP sea accesible a través del espacio digital de salud. Por lo tanto, el titular de la DMP debe poder, en todo momento:

• consultar su información médica;

• visualizar las acciones realizadas en su expediente;

• gestionar el acceso; y

• enriquecerlo con información que considere útil para su seguimiento médico si así lo desea


¿Quién puede acceder a la DMP?

El acceso al DMP de un paciente está reservado a los profesionales de la salud con autorización expresa del titular del expediente. El personal perteneciente al equipo de atención al paciente también puede ser “considerado autorizado”.

En particular :

• el médico tratante tiene acceso al DMP que le permite de acceder a toda la información contenida en el expediente;

• Los médicos de protección materno infantil tienen acceso al DMP para consultarlo o depositar documentos allí.

Los profesionales de la salud solo tienen acceso a los tipos de documentos necesarios en el marco de la atención del paciente, según su especialidad.

Así, por ejemplo :

• un pedicuro podólogo no accederá a los informes de hospitalización;

• un oftalmólogo no accederá a los informes de los exámenes biológicos.

El conjunto de accesos y acciones en el DMP se registran.

Este historial puede ser consultado en cualquier momento por el titular de la DMP. Un sistema de notificación permite también de advertir al paciente cuando se crea el DMP, en caso de la primera consulta de su DMP por parte de un profesional de la salud o cuando accede al DMP en una situación de emergencia (llamado "acceso en modo ruptura de hielo").

El titular de la DMP también puede autorizar servicios y herramientas de salud digitales referenciados en el Espacio de Salud Digital para acceder a determinados datos de su expediente.

Todo acceso fuera de las reglas antes mencionadas es ilegítimo y puede dar lugar a una acción represiva por parte de la CNIL prevista por el RGPD y la Ley Informática y Libertades.

También podrán iniciarse acciones penales, sin perjuicio de las sanciones que pudieran imponer los tribunales disciplinarios de las órdenes profesionales.


¿Cuáles son los trámites para acceder al DMP de medicina del trabajo?

El expediente médico de salud ocupacional, elaborado por el médico del trabajo, está integrado en el DMP.

A partir de abril de 2022, el médico del trabajo encargado del seguimiento del estado de salud de una persona podrá acceder a su DMP  y alimentarlo. El titular de la DMP deberá ser previamente informado y consentir a este acceso a la DMP por parte del médico del trabajo.

El trabajador podrá oponerse al acceso del médico del trabajo encargado del seguimiento de su estado de salud a su DMP. Esta negativa no constituye una falta y no será puesta en conocimiento del empleador.


¿Cómo son informadas las personas?

La entrega de información se planifica por múltiples medios: en el sitio web dedicado del Seguro de Salud , a través de folletos o incluso campañas de información.

Toda persona debería ser informada previamente a la creación de su ENS, mediante correo electrónico o correo postal enviado por su CPAM al que están adscritos.

El titular de la DMP debería ser informado de la creación de su expediente y de su articulación con su ENS, en particular, de los procedimientos de creación, de cierre y de destrucción del expediente. También debería ser advertido de las modalidades de acceso al expediente por sí mismo y por los profesionales de salud llamados a hacerse cargo de él dentro o fuera de un equipo de cuidados, así como de sus derechos sobre los datos contenidos y de los derechos específicos que disfruta por su médico tratante.

Las modalidades para informar a las personas durante la creación automática del MES y el DMP están determinadas por decretos del Consejo de Estado, sobre los cuales la CNIL ha emitido sus opiniones.


¿Cómo ejercer sus derechos?

Cualquier titular de un espacio digital de salud y una DMP puede ejercer sus derechos de rectificación, acceso, limitación, oposición y supresión de datos, directamente desde su espacio digital  o bien a través del CPAM al que está adscrito.

En caso de solicitud de cierre del ENS, los datos se conservan durante 10 años.

El titular podrá solicitar la supresión expresa de los datos antes de la expiración del plazo de 10 años. Si no se ha realizado ninguna solicitud de eliminación de datos, el titular puede en todo momento solicitar la creación de una nueva cuenta.


Texte

Para ir más lejos

> MES: Mi espacio de salud – plataforma de conexión

 

> MES: Mi espacio de salud – sitio dedicado al Seguro de Salud

 

> DMP: Registro Médico Compartido - sitio dedicado al Seguro de Salud

Texte reference

Textos de referencia

Ø  Articles L.1111-14 à L.1111-21 du code de la santé publique (DMP) - Légifrance 

Ø  Articles R.1111-26 à R.1111-43 du code de la santé publique (DMP) - Légifrance 

Ø  Article L.1110-4, R.1110-1 et suivants du code de la santé publique (confidentialité de la donnée et notion d’équipe de soins) - Légifrance 

Ø  Article L.1110-4-1 du code de la santé publique (référentiels de sécurité et d’interopérabilité des systèmes d’information de santé) - Légifrance 

Ø  Loi du 24 juillet 2019 relative à l'organisation et à la transformation du système de santé - Légifrance 

Ø  Décret n° 2021-1047 du 4 août 2021 relatif au dossier médical partagé - Légifrance 

Ø  Décret n° 2021-1048 du 4 août 2021 relatif à la mise en œuvre de l'espace numérique de santé - Légifrance 

Ø  Délibération n° 2019-008 du 31 janvier 2019 portant avis sur un projet de loi relatif à l’organisation et à la transformation du système de santé (demande d’avis n° 19001144) - Légifrance 

Ø  Délibération n° 2021-051 du 15 avril 2021 portant avis sur un projet de décret relatif à la mise en œuvre de l'espace numérique de santé (demande d'avis n° 21001144 ) - Légifrance 

Ø  Délibération n° 2021-050 du 15 avril 2021 portant avis sur un projet de décret relatif au dossier médical partagé (demande d'avis n° 21001149 ) - Légifrance 

 

Palabras Claves asociadas a este artículo

·         #Salud

·         #Preguntas respuestas salud


miércoles, 30 de marzo de 2022

INFORME ESPECIAL SOBRE CIBERSEGURIDAD DE LAS INSTITUCIONES, ÓRGANOS Y ORGANISMOS DE LA UE EN SU CONJUNTO.

Por: Carlos A. FERREYROS SOTO

Doctor en Derecho
Universidad de Montpellier I Francia.

cferreyros@hotmail.com 

Resumen

El número de ciberataques contra instituciones, órganos, oficinas y agencias de la UE (IOAUE) sigue aumentando. Debido a que los IOAUE están fuertemente interconectados, las debilidades de uno pueden exponer a los demás a amenazas de seguridad. El Tribunal examinó si la IOAUE cuenta con mecanismos adecuados para protegerse contra los ataques cibernéticos. Se ha encontrado que, en general, el nivel de preparación de IOAUE no corresponde con las amenazas y que los IOAUE tienen niveles muy variables de madurez en ciberseguridad. El Tribunal recomienda que la Comisión mejore el nivel de preparación de la IOAUE a través de una propuesta para introducir reglas obligatorias de ciberseguridad y aumentar los recursos del Centro de Respuesta a Incidentes de Seguridad Cibernética (CERT-EU). 

Informe especial del Tribunal de Cuentas Europeo en virtud del artículo 287, apartado 4, párrafo segundo, del TFUE.

Informe Especial 05/2022: Ciberseguridad de las instituciones, órganos y organismos de la UE en su conjunto, nivel de preparación no proporcionado a las amenazas. Enlace del Informe integral en Otros idiomas (23)

Si desea mayor información sobre el presente Informe, así como sus implicancias,  consúltenos al correo electrónico:cferreyros@ferreyros-ferreyros.com del Estudio Jurídico Ferreyros-Ferreyros.com

 ______________________________________________________________

RESUMEN DEL INFORME

I    El Reglamento sobre la Cíberseguridad de la UE define la cíberseguridad como «todas las actividades necesarias para la protección de las redes y sistemas de información, de los usuarios de tales sistemas y de otras personas afectadas por las ciberamenazas». Debido a la información delicada que tratan, las instituciones, órganos y organismos de la UE (IOUE) son un blanco atractivo para los posibles atacantes, en particular para los grupos capaces de ejecutar ataques sigilosos muy sofisticados con fines de cíberespionaje, entre otros. Las IOUE están estrechamente interconectadas pese a su independencia institucional y si autonomía administrativa. En consecuencia, los puntos débiles de una IOUE pueden exponer a las demás a amenazas de seguridad.

II  Dado que el número de cíberataques contra ellas está aumentando considerablemente, el objetivo de esta auditoría era determinar si las IOUE, en conjunto, han establecido mecanismos adecuados para protegerse contra las cíberamenazas. Concluimos que el nivel de preparación la comunidad de IOUE no está a la altura de las amenazas.

II    Constatamos que no siempre se aplicaban buenas prácticas esenciales de cíberseguridad, como algunos controles esenciales, y que los gastos en cíberseguridad en varias IOUE son insuficientes. En algunas IOUE tampoco existe una buena gobernanza de la cíberseguridad: en muchos casos, no existen estrategias de seguridad informática, o estas no están respaldadas por la alta dirección, las políticas de seguridad no siempre se formalizan y las evaluaciones de riesgos no abarcan todo el entorno informático. No todas las IOUE disponen de medidas regulares de cíberseguridad sujetas a una garantía independiente.

IV    La formación sobre cíberseguridad no es siempre sistemática. Poco más de la mitad de las IOUE ofrecen formación sobre cíberseguridad para el personal informático y para especialistas en seguridad informática. Pocas IOUE ofrecen formación obligatoria sobre cíberseguridad a los responsables de los sistemas informáticos que contienen información delicada. Los ejercicios de phishing son una herramienta importante para formar y concienciar al personal, pero no todas las IOUE los utilizan sistemáticamente.

V  Aunque las IOUE han establecido estructuras de cooperación e intercambio de información sobre cíberseguridad, hemos observado que no se aprovechan plenamente las posibles sinergias. Las IOUE no comparten sistemáticamente entre sí información sobre proyectos relacionados con la cíberseguridad, evaluaciones de seguridad y contratos de servicios. Además, las herramientas básicas de comunicación, como las soluciones de correo electrónico cifrado y videoconferencia, no son totalmente interoperables. Esto puede dar lugar a intercambios de información menos seguros, a una duplicación de los esfuerzos y a un aumento de los costes.

VI    El Equipo de respuesta a emergencias informáticas de las instituciones, órganos y organismos de la Unión Europea (CERT-UE) y la Agencia de la Unión Europea para la Cíberseguridad (ENISA) son las dos principales entidades encargadas de apoyar a las IOUE en materia de cíberseguridad. Sin embargo, debido a que los recursos son limitados o a que se ha dado prioridad a otras áreas, no han podido proporcionar a las IOUE todo el apoyo que necesitan, sobre todo en relación con el desarrollo de capacidades de aquellas que poseen menor experiencia. Aunque el CERT-UE es muy apreciado por las IOUE, su eficacia queda comprometida por la creciente carga de trabajo, la inestabilidad de la financiación y la dotación de personal, así como la insuficiente cooperación de algunas IOUE, que no siempre comparten información oportuna sobre vulnerabilidades e incidentes significativos de cíberseguridad que les hayan afectado o puedan afectar a otras.

VII    Basándonos en estas conclusiones, recomendamos que:

o      la Comisión mejore la preparación de las IOUE mediante una propuesta legislativa por la que se introduzcan normas comunes vinculantes sobre ciberseguridad para todas las IOUE y un incremento de los recursos del CERT-UE.
 o    la Comisión, en el contexto del Comité interinstitucional para la transformación digital, promueva nuevas sinergias entre las IOUE en determinados ámbitos
 o    el CERT-UE y la ENISA se centren en las IOUE con menor madurez en ciberseguridad.